javascript - 针对 XSS 的安全数据库条目

Question

我正在创建一个应用程序来检索推文中的文本，将其存储在数据库中，然后将其显示在浏览器上。问题是我在想，如果文本有 PHP 标签或 HTML 标签，那可能存在安全漏洞。

我调查了 strip_tags() 但看到了一些不好的评论。我还看到了对 HTML Purifier 的建议，但它最后一次更新是在几年前。

所以我的问题是，如果推文文本是“<script> something_bad() </script>”，我如何才能 100% 确保它无关紧要？

很明显，推文是从用户发送到数据库的，所以我不想在显示它们之前单独检查所有推文。

Answer 1

您永远不会 100% 安全，但是您应该看看 this .如果你也使用 ENT_QUOTES 参数，如果你使用有效的字符集(并且你的用户不使用过时的浏览器)，目前没有办法在你的网站上注入(inject) ANY XSS。但是，如果您想让人们只在他们的“推文”中发布一些 html 标签(例如 <b> 用于粗体文本)，您将需要深入了解每个列入白名单的标签。